|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我理解的无痕就是任何工具都扫描不出... |
|
|
无痕不应该得隐藏驱动么,隐藏驱动不用过pg? |
|
|
|
|
|
|
|
|
最近在分析一份样本发现驱动加载之后会返回错误代码然后自删除, 实际上代码已经进内核了, pc hunter看了下内核线程, object钩子(pchunte的几页挨着对比了一下), 等等都没找到驱动留下的痕迹 之前分析过几个是添加object钩子这样获取和r3通信时机, 但是这个找了一圈也没找到, 求教下还有什么其他思路么 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
代码碎片化怎么说 |
|
|
猜测是shellcode寄生吧 |
|
|
那有点厉害啊 |
|
|
代码碎片化，大多都是云端下发的shellcode然后分段重组，VT下隐藏参考EPT分页对抗 |
|
|
动态过PG基本上都蓝到爆。 |
淡然他徒弟
黑洛
